Conexión cifrada
Toda la comunicación con la plataforma viaja por HTTPS.
§ S-01SeguridadClaimo
Controles concretos, sin promesas vacías.
Lo que Claimo hace hoy para proteger tus datos y los de tus deudores, descrito sin adornos.
Art. 01
Controles que existen hoy
Esta lista describe lo que la plataforma hace en este momento. No incluye promesas ni certificaciones que aún no tengamos.
Sesiones firmadas
El portal y el backoffice usan cookies httpOnly firmadas, con vencimiento. Las credenciales de servicio nunca llegan al navegador: lo sensible se ejecuta en el servidor.
Contraseñas como hash
Las contraseñas se guardan solo como hash (PBKDF2-SHA256), nunca en claro, y el portal exige 10 caracteres o más.
Llaves de API que no se recuperan
La llave completa se muestra una sola vez. Guardamos únicamente su hash SHA-256; puedes revocarla al instante y ver cuándo se usó por última vez. El límite es de 120 peticiones por minuto por llave.
Enlaces privados y código de un solo uso
Los enlaces de caso y de firma llevan un token aleatorio que guardamos solo como hash. Para firmar, además, enviamos un código de 6 dígitos al correo del firmante: vence a los 10 minutos y permite 5 intentos.
Documentos en almacenamiento privado
Los documentos y los archivos de carga viven en almacenamiento privado de Cloudflare R2. El archivo original de cada carga se conserva tal como llegó, para que puedas auditarlo.
Firma con evidencia
Cada firma deja el contenido congelado con su huella SHA-256, el consentimiento, el trazo, la IP y la marca de tiempo, y un certificado con verificación pública.
Aislamiento por cliente
Cada empresa solo accede a sus carteras, obligaciones y llaves. El equipo de Claimo trabaja desde un backoffice separado, con cuentas y roles.
Trazabilidad
Cada expediente tiene una línea de tiempo de eventos, y las acciones del equipo sobre cuentas y configuración quedan en un registro de auditoría con autor y fecha.
Límites contra abuso
Las solicitudes públicas, los códigos de firma y las llamadas a la API tienen límites de uso, y el formulario público lleva un campo señuelo contra bots.
Datos de demostración separados
Los casos de demostración están marcados como sintéticos y no se mezclan con los casos reales.
Revisión humana de la IA
Los resultados de los modelos son preliminares: el equipo de Claimo y los abogados de Ligal los revisan y supervisan cada caso.
Art. 02
Quién procesa qué
Claimo se apoya en estos proveedores. Cada uno recibe solo lo que necesita para su función:
| Proveedor | Qué hace |
|---|---|
| Cloudflare | Despliegue de la plataforma, base de datos, almacenamiento privado de documentos y envío de correos. |
| Google Gemini | Lectura de los documentos que subes y transcripción de su texto (OCR). |
| OpenAI | Extracción de datos del título, estimación de viabilidad y borradores de demanda y poder. |
| Telefonía, mensajería y voz | Contacto prejudicial con el deudor, en los casos en que está automatizado. |
Algunos proveedores procesan información fuera de Colombia. Para el tratamiento de datos personales aplica la política de privacidad, alineada con la Ley 1581 de 2012.
Art. 03
Lo que todavía no tenemos
No contamos aún con certificaciones como ISO 27001 o SOC 2 ni con auditorías externas publicadas. Cuando existan, las publicaremos aquí con su evidencia.
Si revisas la seguridad con tu equipo de riesgo, cuéntanos qué necesitas ver. Si encuentras una vulnerabilidad, repórtala por el mismo formulario.
Contacto
¿Necesitas revisar la seguridad?
Cuéntanos qué necesita ver tu equipo de riesgo y te respondemos por correo.